Reindaelman

تحتوي طبقة تفويض Git Smart HTTP في الملف `internal/route/repo/http.go` على خلل حيث يعتمد النظام على معامل استعلام `service` يوفره العميل لتحديد سياسة التفويض بدلاً من مسار RPC الفعلي الذي يتم تنفيذه. وتحديداً، يمكن التعامل مع الطلب المرسل إلى نقطة النهاية `/repo.git/git-receive-pack` (المستخدمة لعمليات الدفع/الكتابة) بشكل خاطئ على أنه عملية قراءة إذا تم تعيين سلسلة الاستعلام إلى `service=git-upload-pack`. يسمح هذا للمستخدم الذي يمتلك صلاحيات القراءة فقط بدفع تغييرات إلى المستودع. هذا الأمر مؤثر بشكل خاص في الحالات التي يتم فيها ضبط `REQUIRE SIGNIN VIEW` على `true` لأن ذلك قد يسمح لأي مستخدم مسجل دخوله بالكتابة في أي مستودع. ينتج هذا الخلل عن عدم اتساق في كيفية التحقق من الأفعال فيما يتعلق بحساسية حالة الأحرف.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات hoppscotch السابقة للإصدار 2026.3.0 الوصف يحتوي hoppscotch، وهو نظام بيئي مفتوح المصدر لتطوير واجهات برمجة التطبيقات (API)، على ثغرة إعادة توجيه مفتوحة. قد تؤدي هذه الثغرة إلى سرقة الرموز المميزة (tokens)، مما قد يسمح للمهاجم باختراق حسابات المستخدمين عن طريق تسجيل الدخول باسم الضحية. التوصيات تحديث hoppscotch إلى الإصدار 2026.3.0 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات hoppscotch السابقة للإصدار 2026.3.0 الوصف يحتوي hoppscotch، وهو نظام بيئي مفتوح المصدر لتطوير واجهات برمجة التطبيقات (API)، على ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة، والتي قد تؤدي إلى «تزوير الطلبات عبر المواقع» (CSRF). التوصيات التحديث إلى الإصدار 2026.3.0 أو أحدث.

تعد وظيفة WebSocket في خادم التطوير الخاص بـ Storybook، والمستخدمة لإنشاء القصص وتحديثها، عرضة لاختطاف WebSocket. تؤثر هذه المشكلة على خادم التطوير فقط ولا تؤثر على إصدارات الإنتاج. يتطلب استغلال هذه الثغرة أن يقوم مطور بزيارة موقع ويب ضار أثناء تشغيل خادم التطوير المحلي لـ Storybook. تفتقر اتصال WebSocket إلى التحقق من مصدر الاتصال، مما يسمح لموقع ويب ضار بإرسال رسائل WebSocket إلى المثيل المحلي دون تفاعل من المستخدم. إذا كان خادم التطوير لـ Storybook مكشوفًا للجمهور، فيمكن لمهاجم غير معتمد إرسال رسائل WebSocket مباشرةً. تتعرض معالجات رسائل WebSocket الخاصة بإنشاء وحفظ القصص (stories) للاختراق عن طريق حقن عبر مدخلات غير معقمة في حقل `componentFilePath`، مما قد يؤدي إلى حدوث هجمات «التنفيذ عبر المواقع» (XSS) المستمرة أو «التنفيذ عن بُعد للكود» (RCE).

يتأثر Astro، وهو إطار عمل ويب، بثغرة أمنية تتعلق بتزوير الطلبات من جانب الخادم (SSRF) في الإصدارات الأقدم من 9.5.4. وتعتبر الصفحات التي يتم عرضها من جانب الخادم والتي تعرض خطأً مع صفحة خطأ مخصصة تم عرضها مسبقًا (مثل `404.astro` أو `500.astro`) عرضةً لهذه الثغرة. إذا تم التلاعب برأس `Host:` ليشير إلى خادم المهاجم، فيمكن استرداده عند طلب مورد مثل `/500.html`، مما يسمح بإعادة التوجيه إلى أي عنوان URL داخلي ويُمكّن المهاجم من قراءة نص استجابة الطلب الأولي. يمكن للمهاجم الوصول إلى التطبيق دون التحقق من صحة رأس `Host:`، مما قد يكشف عن عنوان IP المصدر الموجود خلف بروكسي، وجعل الخادم يطلب من خادمه الخاص إعادة التوجيه إلى عناوين IP داخلية. وهذا يتيح الوصول إلى عناوين IP الخاصة ببيانات التعريف السحابية والتفاعل مع الخدمات داخل الشبكة الداخلية أو على المضيف المحلي (localhost). تتطلب هذه المشكلة الوصول المباشر إلى الخادم دون استخدام بروكسيات وسيطة.

Langfuse هي منصة مفتوحة المصدر لهندسة نماذج اللغة واسعة النطاق. تقوم نقطة النهاية `/api/public/slack/install` بتشغيل OAuth الخاص بـ Slack باستخدام `projectId` مقدم من العميل دون مصادقة أو تفويض. يتم الاحتفاظ بـ `projectId` طوال مسار OAuth، ويقوم رد الاتصال (callback) بتخزين عمليات التثبيت استنادًا إلى هذه البيانات الوصفية غير الموثوقة. وهذا يسمح للمهاجم بربط مساحة عمل Slack الخاصة به بأي مشروع، ومن المحتمل أن يتلقى تغييرات في المطالبات المخزنة في Langfuse Prompt Management. يمكن للمهاجم استبدال تكاملات Prompt Slack Automation الحالية أو التسجيل المسبق لتكامل خبيث، على الرغم من أن الخيار الأخير يتطلب أن يقوم مستخدم مصادق عليه بتكوينه عن غير قصد، على الرغم من وجود مؤشرات واضحة لمساحة العمل والقناة في واجهة المستخدم.

Name of the Vulnerable Software and Affected Versions: Confidant versions prior to 6.6.2 Description: The issue is a cross-site scripting (XSS) vulnerability that affects various API endpoints in Confidant, an open-source secret management service. These endpoints include `GET /v1/credentials`, `GET /v1/credentials/`, `GET /v1/archive/credentials/`, `GET /v1/archive/credentials`, `POST /v1/credentials`, `PUT /v1/credentials/`, `PUT /v1/credentials//<to revision>`, `GET /v1/services`, `GET /v1/services/`, `GET /v1/archive/services/`, `GET /v1/archive/services`, `PUT /v1/services/`, and `PUT /v1/services//<to revision>`. An attacker needs to be authenticated and have privileges to create new credentials to exploit this vulnerability, which could allow them to show information and run scripts on other users within the same Confidant instance. Recommendations: For versions prior to 6.6.2, upgrade to version 6.6.2 to resolve the issue. As a temporary workaround, consider restricting access to the vulnerable API endpoints until the upgrade can be applied. Avoid using the affected endpoints for creating or managing credentials and services until the issue is resolved. There are no known workarounds for this vulnerability other than upgrading to the patched version.